Telegramのプロキシリンクによる匿名性の脅威

セキュリティ研究者たちが、Telegramにおけるユーザーの匿名性に対する新たな脅威を発見しました。プロキシ設定用に特別に作成されたリンクにより、悪意のある行為者は追加の確認や警告なしに個人の匿名性を剥奪することができます。これらのプロキシリンクは普通のt.meアドレスとして表示され、ユーザー名に偽装されることもありますが、クリックするとメッセンジャーは自動的にプロキシサーバーへの接続を試み、デバイスから直接ネットワークリクエストを送信します。これにより、ユーザーが隠れようと意図し、プロキシを使用していた場合でも、実際のIPアドレスが明らかになってしまうのです。

この悪用メカニズムはシンプルながら効果的です。AndroidとiOS上のTelegramは、プロキシが設定に追加される前でもその可用性をチェックします。その結果、リンクが誘導するプロキシの所有者は、すべてのプライバシー設定を迂回して被害者のIPアドレスを取得します。専門家は、これによりおおよその位置の特定、標的型攻撃、DDoS攻撃、さらなるユーザープロファイリングにつながる可能性があると警告しています。これは特に、ジャーナリスト、活動家、匿名性のために意識的にプロキシを使用する人々にとって危険です。

Telegramは公式に、この状況を重大な脆弱性とは見なしていません。インターネット上のどのウェブサイトやプロキシも訪問者のIPアドレスを認識するため、これは自社プラットフォームに特有のものではないと主張しています。それでも、同社はプロキシリンクをクリックした際に警告を追加することを約束しており、ユーザーが何を開いているのか正確に知ることができるようになります。この機能がTelegramアプリケーションにいつ登場するかは、まだ明らかにされていません。

サイバーセキュリティの専門家は、極めて慎重になるよう助言しています。疑わしいt.meリンクはユーザー名に見えてもクリックせず、特にモバイルデバイスではそのようなリンクに細心の注意を払い、実際のIPアドレスの即時漏洩を避けるべきだとしています。